Hacker Geek: OS Fingerprinting Dengan TTL dan TCP Window Sizes

2024 Pengarang: Geoffrey Carr | [email protected]. Terakhir diubah: 2024-01-12 05:26

Mengapa Anda Melakukan Ini?

Menentukan OS apa yang dijalankan oleh perangkat atau perangkat dapat berguna karena berbagai alasan. Pertama mari kita lihat perspektif sehari-hari, bayangkan Anda ingin beralih ke ISP baru yang menawarkan internet tanpa internet seharga $ 50 per bulan sehingga Anda mengambil uji coba layanan mereka. Dengan menggunakan sidik jari OS Anda akan segera menemukan bahwa mereka memiliki router sampah dan menawarkan layanan PPPoE yang ditawarkan pada sekelompok mesin Windows Server 2003. Tidak terdengar lagi seperti itu, ya?

Penggunaan lain untuk ini, meskipun tidak begitu etis, adalah fakta bahwa lubang keamanan adalah spesifik OS. Misalnya, Anda melakukan pemindaian port dan menemukan port 53 terbuka dan mesin menjalankan versi Bind yang usang dan rentan, Anda memiliki kesempatan SINGLE untuk mengeksploitasi lubang keamanan karena upaya gagal akan merusak daemon.

Bagaimana Cara Kerja Sidik Jari OS?

Ketika melakukan analisis pasif dari lalu lintas saat ini atau bahkan melihat paket lama menangkap, salah satu cara yang paling mudah, efektif, melakukan Sidik Jari OS adalah dengan hanya melihat ukuran jendela TCP dan Waktu Untuk Hidup (TTL) di header IP pertama paket dalam sesi TCP.

Berikut adalah nilai-nilai untuk sistem operasi yang lebih populer:

Sistem operasi	Waktu untuk Hidup	Ukuran Jendela TCP
Linux (Kernel 2.4 dan 2.6)	64	5840
Google Linux	64	5720
FreeBSD	64	65535
Windows XP	128	65535
Windows Vista dan 7 (Server 2008)	128	8192
iOS 12.4 (Router Cisco)	255	4128

Alasan utama sistem operasi memiliki nilai yang berbeda adalah karena fakta bahwa RFC untuk TCP / IP tidak menetapkan nilai default. Hal penting lainnya yang perlu diingat adalah bahwa nilai TTL tidak akan selalu cocok dengan satu di dalam tabel, bahkan jika perangkat Anda menjalankan salah satu sistem operasi yang terdaftar, Anda melihat ketika Anda mengirim paket IP di seluruh jaringan sistem operasi perangkat pengirim menetapkan TTL ke TTL default untuk OS itu, tetapi ketika paket melintasi router, TTL diturunkan oleh 1. Oleh karena itu, jika Anda melihat TTL dari 117 ini dapat diharapkan untuk menjadi paket yang dikirim dengan TTL 128 dan telah melewati 11 router sebelum ditangkap.

Menggunakan tshark.exe adalah cara termudah untuk melihat nilai-nilai sehingga setelah Anda mendapatkan paket capture, pastikan Anda telah menginstal Wireshark, lalu arahkan ke:

C:Program Files

Sekarang tahan tombol shift dan klik kanan pada folder wireshark dan pilih buka jendela perintah di sini dari menu konteks

tshark -r 'C:UsersTaylor GibbDesktoplah.pcap' 'tcp.flags.syn eq 1' -T fields -e ip.src -e ip.ttl -e tcp.window_size

Pastikan untuk mengganti "C: Users Taylor Gibb Desktop blah.pcap" dengan jalur absolut ke paket capture Anda. Setelah Anda menekan enter Anda akan ditampilkan semua paket SYN dari capture Anda yang lebih mudah dibaca format tabel

• Jaringan lokal saya adalah 192.168.0.0/24
• Saya menggunakan kotak Windows 7

Jika Anda melihat baris pertama tabel Anda akan melihat saya tidak berbohong, alamat IP saya adalah 192.168.0.84 TTL saya adalah 128 dan Ukuran Jendela TCP saya adalah 8192, yang cocok dengan nilai untuk Windows 7.

Hal berikutnya yang saya lihat adalah alamat 74.125.233.24 dengan TTL 44 dan Ukuran Jendela TCP 5720, jika saya melihat tabel saya tidak ada OS dengan TTL 44, namun itu mengatakan bahwa Linux yang server Google jalankan memiliki TCP Window Size 5720. Setelah melakukan pencarian web cepat dari alamat IP Anda akan melihat bahwa itu sebenarnya adalah Google Server.